La nLPD et un contrôle anti-bot : qui est responsable, qui sous-traite
Avec Antisy, votre site reste le responsable du traitement des données de ses visiteurs, et Antisy agit comme sous-traitant au sens de la loi fédérale sur la protection des données (nLPD, art. 9), sous contrat. Cette page dit qui fait quoi, quelles données sont traitées et combien de temps elles sont gardées.
État au .
De quelle loi parle-t-on ?
« nLPD » est le nom courant de la loi fédérale du 25 septembre 2020 sur la protection des données, abrégée LPD dans le Recueil systématique (RS 235.1). Elle est entrée en vigueur le 1er septembre 2023 (art. 74). Elle vise à protéger la personnalité et les droits fondamentaux des personnes physiques dont les données personnelles font l’objet d’un traitement (art. 1).
Cette page décrit le partage des rôles que la loi prévoit, tel qu’Antisy le met en œuvre. Ce n’est pas un avis juridique : elle ne dit pas que votre site ou Antisy respecte la loi, et elle ne remplace ni votre propre politique de confidentialité ni le contrat de traitement. Pour votre cas, adressez-vous à la personne qui vous conseille en droit.
Qui est responsable du traitement, qui est sous-traitant ?
La loi définit le responsable du traitement comme la personne privée ou l’organe fédéral qui, seul ou conjointement avec d’autres, détermine les finalités et les moyens du traitement de données personnelles (art. 5, let. j). Le sous-traitant est la personne privée ou l’organe fédéral qui traite des données personnelles pour le compte du responsable du traitement (art. 5, let. k).
Pour les visiteurs de vos formulaires, Antisy retient la qualification suivante. Votre site décide de protéger ses formulaires et de la manière de le faire : il est le responsable du traitement. Antisy traite les données de ces visiteurs pour son compte, pour une seule finalité, distinguer les visiteurs humains des programmes automatisés, pour la sécurité du site : elle est le sous-traitant. Ces données ne servent jamais à la publicité.
Voir : Glossaire : sous-traitant
Que demande la loi à un sous-traitant ?
Les règles qui encadrent la sous-traitance, dans les mots de la loi ou au plus près :
- Le traitement peut être confié à un sous-traitant pour autant qu’un contrat ou la loi le prévoie et que deux conditions soient réunies : seuls sont effectués les traitements que le responsable du traitement serait en droit d’effectuer lui-même, et aucune obligation légale ou contractuelle de garder le secret ne l’interdit (art. 9, al. 1).
- Le responsable du traitement doit s’assurer que le sous-traitant est en mesure de veiller à la sécurité des données (art. 9, al. 2).
- Le sous-traitant ne peut lui-même sous-traiter un traitement à un tiers qu’avec l’autorisation préalable du responsable du traitement (art. 9, al. 3).
- Les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru (art. 8, al. 1).
- Le sous-traitant annonce dans les meilleurs délais au responsable du traitement tout cas de violation de la sécurité des données (art. 24, al. 3).
Que prévoit le contrat d’Antisy ?
Le contrat de traitement d’Antisy est offert à tous les paliers, y compris le palier Gratuit. La politique de confidentialité et le contrat de traitement d’Antisy ne sont pas encore publiés. Le modèle de contrat prévoit notamment :
- Antisy ne traite les données que sur instruction documentée de votre site : le contrat, ses réglages au tableau de bord et ses demandes écrites.
- Le sous-traitant ultérieur autorisé est Infomaniak, à Genève, en Suisse (hébergement et sauvegardes) ; tout ajout ou remplacement d’un sous-traitant ultérieur est annoncé par écrit 30 jours avant.
- Antisy assiste votre site pour répondre aux demandes d’accès, de rectification et d’effacement ; si une personne s’adresse directement à Antisy, celle-ci transmet la demande à votre site.
- Antisy annonce à votre site toute violation de la sécurité des données qui le concerne dans les 48 heures de sa découverte.
Voir : Modèle de contrat de traitement · Sécurité des données
Quelles données Antisy traite-t-il pour votre site ?
Dans le navigateur, le script mesure les capacités que le navigateur déclare, les langues et le fuseau horaire du navigateur, le rendu graphique et l’empreinte de l’appareil, des indices d’automatisation, le comportement du moteur JavaScript et le déroulé de l’interaction. Le serveur d’Antisy lit l’ordre des en-têtes HTTP, l’adresse IP, le User-Agent et le contexte de la requête. Jamais l’image dessinée, le nom de la carte graphique ni le contenu des frappes et des champs.
Pour une connexion ou une inscription, Antisy garde aussi l’identifiant de compte que votre site transmet, chiffré et condensé.
Ces données comprennent des données personnelles. Votre site ne reçoit pas les mesures du navigateur : il reçoit un jeton, puis un verdict. Elles servent à la sécurité de votre site, jamais à la publicité.
Voir : Documentation : données collectées et vie privée · Accueil : ce que le script mesure, et combien de temps
Combien de temps les données sont-elles gardées ?
Les mesures envoyées par le navigateur sont gardées quelques minutes, le temps de vérifier l’envoi ; une partie d’entre elles, 30 jours si leur conservation est allumée pour le site, ce qu’elle n’est pas par défaut. L’adresse IP, le User-Agent et le contexte de la requête sont effacés à 30 jours, l’identifiant de connexion à 90 jours, et l’enregistrement entier est supprimé à 180 jours au plus.
Ces durées sont des décisions internes d’Antisy, à confirmer par un juriste avant la mise en service.
Le tableau suit chaque donnée de la tentative jusqu’à sa suppression :
| Délai | Ce qui se passe |
|---|---|
| Quelques minutes | Mesures envoyées par le navigateur pour un jeton : conservées chiffrées quelques minutes, le temps de vérifier l'envoi, puis supprimées. Si la conservation est allumée pour le site (elle est éteinte par défaut), certaines d'entre elles sont gardées 30 jours, chiffrées : le rendu graphique mesuré, la classe et deux condensés du processeur graphique, le comportement du moteur JavaScript et les indices d'automatisation ; ni les capacités que le navigateur déclare, ni ses langues et son fuseau horaire, ni l'empreinte d'ensemble de l'appareil, ni le déroulé de l'interaction. |
| 30 jours | Adresse IP, User-Agent, contexte de la requête (langue acceptée, noms des en-têtes présents, hôte du référent, chemin, méthode ; caractéristiques de la connexion : versions TLS et HTTP, protocole négocié, présence des Client Hints, condensé de l'ordre des en-têtes ; et, quand le site les transmet, durée de remplissage du formulaire et rang de la tentative dans la session) et identifiant d'événement choisi par le site, chiffrés tant qu'ils sont gardés ; condensé de l'ordre des en-têtes HTTP, chiffré au repos (leurs noms, jamais leurs valeurs) ; résultats de la vérification du jeton : tous effacés de l'enregistrement. Aucun préfixe ni condensé d'adresse IP n'est conservé au-delà. L'identifiant d'événement a aussi, à part, un index aveugle (un condensé à clé) qui ne sert qu'à reconnaître la reprise d'une même tentative : il s'efface passé 25 heures. |
| 90 jours | Identifiant de connexion (chiffré et condensé), issue de la tentative, retours d'issue transmis par le site : effacés. |
| 180 jours au plus | Ce qui reste (verdict, score, raisons, famille de navigateur, type d'événement, horodatages) : l'enregistrement est supprimé. |
Ces durées sont des décisions internes d'Antisy, à confirmer par un juriste avant la mise en service. Après 90 jours, un enregistrement ne porte plus ni l'identifiant de connexion ni l'adresse : il ne peut plus être retrouvé à partir de l'un ou de l'autre. Voir aussi la sous-traitance.
Où sont hébergées les données ?
L’hébergement est chez Infomaniak, à Genève, en Suisse. Il est en service depuis le 27 octobre 2026.
Que doit faire votre site ?
- Informer vos visiteurs. La loi demande au responsable du traitement d’informer la personne concernée de la collecte de données personnelles et de lui communiquer au moins l’identité et les coordonnées du responsable du traitement, la finalité du traitement et, le cas échéant, les destinataires ou les catégories de destinataires (art. 19, al. 1 et 2).
- Décrire le traitement dans votre propre politique de confidentialité et y nommer Antisy. Le contrat de traitement propose un modèle de texte à adapter.
- Répondre aux demandes de vos visiteurs (accès, rectification, effacement) : elles s’adressent d’abord à votre site, responsable du traitement.
Où en est Antisy ?
L’accès se fait sur liste d’attente. L’API et le tableau de bord sont en service depuis le 27 octobre 2026, hébergés chez Infomaniak à Genève ; aucun client n’est encore en production.
Voir : Le pilote · Rejoindre la liste d’attente
Questions fréquentes
Antisy est-il responsable du traitement ou sous-traitant ?
Pour les visiteurs de vos formulaires, votre site est le responsable du traitement et Antisy est le sous-traitant (LPD art. 5, let. j et k). L’article 9 de la loi pose les conditions de la sous-traitance : un contrat ou la loi la prévoit, et le sous-traitant ne traite que ce que le responsable pourrait traiter lui-même.
Faut-il un contrat avec Antisy ?
La loi demande qu’un contrat ou la loi prévoie la sous-traitance (LPD art. 9, al. 1). Antisy propose un modèle de contrat de traitement, offert à tous les paliers. L’accès au produit se fait aujourd’hui sur liste d’attente.
Dois-je informer mes visiteurs de l’usage d’Antisy ?
Oui : c’est un devoir du responsable du traitement, donc de votre site (LPD art. 19). Votre politique de confidentialité décrit le traitement et nomme Antisy. Le contrat de traitement propose un modèle de texte à adapter.
Où sont les données de mes visiteurs ?
L’hébergement est chez Infomaniak, à Genève, en Suisse. Il est en service depuis le 27 octobre 2026.
Sources
Les articles cités sont ceux de la loi fédérale sur la protection des données, dans le texte publié sur Fedlex.